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Paten tan sprtiche 

( 1. jRedundantes Steuersystem mit mehreren parallel arbei- 
^Tenden , gleiche Daten nach ubereinstimmenden Prograninien 
5 verarbeitenden Teilsys temen , die je eine Zentraleinhei t , 
Speicher sowie periphere Einheiten enthalten, wobei die 
Zentraleinheiten , die Speicher und die peripheren Einhei- 
ten verschiedener Teilsyste'me einander entsprechen, und 
mit mindestens einer Vergleichseinrichtung, welche die in 
10 den Teilsystemen auftreteaden Signale vergleicht und bei 
Ungleichheit ein Fehlersignal abgibt, d a d u r c h 
gekennze ichne t , daI3 die Vergleichsein- 
richtung einen Fehlersignalspe icher (FSl FSn) enthalt, 

dessen Inhalt von den Zentraleinheiten (ZEl, ZE2) wahl- 
15 weise abrufbar ist. 



2. Steuersystem nach Anspruch 1, dadurch ge- 
kennzeichnet, daI3 je Teilsystem eine Daten, 
Adressen und Steuersignale iibertragende Peripherie-Bus- 

20 leitung (PBl, PB2) vorhanden ist, an welche die Zentral- 
einheit (ZEl; ZE2) und die peripheren Einheiten (ZZl, ASl, 
AEl, EEl; ZZ2, AS2, AE2 , EE2) angeschlossen sind und daB 
die Vergleichseinrichtung (VGL) Signale auf den Peripherie- 
Busleitungen miteinander vergleicht. 

25 

3. Steuersystem nach Anspruch 1 Oder 2, dadurch 
gekennze ichne t , daI3 die Vergleichsein- 
richtung mindestens ein Anti valenzglied (AKl ... AKn) 
enthalt, an das der Fehlersignalspeicher (FSl ... FSn) an- 

30 geschlossen ist, dessen Ausgang auf die Eingange von je 

einem Teilsystem zugeordne ten , schaltbaren Ausgabe verstar- 
kern (AVI, AV'l; ... AVn , AV'n) gefuhrt sind, welche von 
Adressendecodierern (LDC, LDC' ) gesteuert sind, die an die 
Peripherie-Busleitungen (PBl, PB2) angeschlossen sind, 

35 

4. Steuersystem nach Anspruch 3, dadurch ge- 
kennzeichnet, dai3 dem einen Eingang des 



BNSDOCID:<DE 3024370A1> 



130064/0069 

ORIGINAL INSPECTED 




3024370 

- - VPA 80 P 3531 DE. 

Antivalenzgliedes (AKl AKn) ein ein- und ausschalt- 

barer Inverter (IVl ... IVn) vorgeschalte t ist, der von 
einern Testsignal umschaltbar ist, das aus dem Ausgangs- 
signal eines mit der Peripherie-Busleitung (PBl) eines 
5 Teilsystems verbundenen Testsignal-AdreI3decodierers (TDC) 
abgelcitet ist. 

5. Steuersystem nach Anspruch 4, dadurch ge- 
kennzeichnet, da/3 an den Testsignal-AdreB- 
decodierer (TDC) ein den Inverter (IVl ... IVn) steuern- 
der Testsignalspeicher (TSl ... TSn) angeschlossen ist. 

6. Steuersystem nach Anspruch 4 Oder 5, dadurch 
gekennzeichne t , daB der Riicksetzeingang 
des Fehlersignalspeichers (FSl ... FSn) mit dem Testsi- 
gnal derart angesteuert ist, dai3 er mit der Riickflanke 
des Testsignals geloscht wird. 

7. Steuersystem nach einem der Ansprliche 1 bis 6, d a - 
20 durch gekennzeichnet, daI3 zwei Teil- 

systeme .(Kl, K2) vorhanden sind, daf3 jedes Teilsystem eine 
periphere Ausgabeeinheit (AEl, AE2) und eine periphere Ein- 
gabeeinheit (EEl, EE2) aufweist und daI3 einander entspre- 
chende Ausgange (Al, A'l) der peripheren Ausgabeeinhei- 
25 ten (AEl, AE2) auf einander en tsprechende Eingange (E'5, 

E5) der peripheren Eingabeeinheiten (EE2, EEl) des jeweils 
anderen Teilsystems rUckgefiihrt sind. 



10 
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J»jc KrlintiuM- bet riff t ein i^eciund antes Steuersystem 
dcm Obcrb^tiriff dcs Anspruchs 1. 

]0 Dci-artigc Steuersysteme sincl ruchrfach bckannt . Bci- 

spiclsweise ist in dcr DK-AS 22 08 496 sclu' icben , die 
Ausgabe telegramnie von drei Hecbnorn nacli ciner Mehrhcils- 
entscheidung zu prlifen und dadurch einen elwaigen dclekten 
Hechner festzustel len . Zur Funktionskon trol le wcrden der 

15 Vergleichseinrichtung absichtlich gefalschte Telegramme 
zugefuhrt. 

Aus der DE-AS 26 47 367 ist bekann tgcworden , die Ausgangs- 
signale von drei parallel arbeitenden Zen traleinhei ten iiber 

20 drei Busleitungen zu ubertragen und an diese periphere 

Einheiten uber Mehrhei tsscbal tungen an zuschl ieOen . Fur die 
Ubertragung der Signale von den peripheren Einheiten zu 
den Zentraleinhei ten sind drei weitere Busleitungen vorge- 
sehen. Mit dieser bekannten S teue ra nordnung konnen auf 

25 Stellglieder , z. B. ein Magne tventil , Stellbefehle gegeben 
werden, die liber die peripheren Einheiten und die Ein- 
gangs-Buslei tungen auf die Rechner rlickgefuhrt sind. Es 
kann somit die richtige Ausfiihrung der Befehle liberwacht 
werden. Eine weitere Funk t ionskon t rol le wird nicht durch- 

30 gefiihrt. Die peripheren Einheiten konnen wahlweise redun- 
dant Oder nicht-redundant betrieben werden. 

In der deutschen Patentanmcldung P 29 31 2S0.S ist eine 
weitere redundante S teueranordnun g rnit rnchreren program- 
35 rnierbaren Rechnern vorgcschlagen , in welcher die liber 

Ausgangs-Buslei tungen libertragenen Signale in den peri- 
pheren Einheiten verknlipft werden und die verknlipften Si- 

Zin 4 Scl / 25.06,1980 
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gnale parallel uber mehrere Eingangs-Busleitungen zu den 
Zentraleinheiten ruckgefUhrt werden. Dort warden die ruck- 
gefUhrten Signale init Sollsignalen verglichen, und im 
Falle einer Abweichung wird^ein Fehlersignal abgegeben. 

5 

Die bekannten Anordnungen arbeiten entweder in der Weise, 
daI3 getaktete Vergleichseinrichtungen bei einer Antivalenz 
der uberpruften Signale Oder auch bei einem Ausfall der 
Vergleichseinrichtung einen Pruftakt sperren. Beim Aus- 

10 bleiben von Pruf taktimpulsen werden dann Sicherheitsreak- 
tionen ausgelost. Andere Anordnungen enthalten Register, 
in welche die Signale auf den Busleitungen bei jedem Be- 
arbeitungsschritt parallel ubernommen werden und deren 
Inhalte verglichen werden. Die bekannten Anordnungen ha- 

15 ben den Nachteil, daB Schaltungen zur Erzeugung des Priif- 
taktes.und zur Auswertung des Pruftaktes notwendig sind. 
AuI3erdem werden bei einigen bekannten Anordnungen die 
Zentraleinheiten und die Verbindungsleitungen durch den 
Vergleich und die Obertragung des Vergleichsergebnisses 
20 belastet. 

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, eine 
Steueranordnung der im Oberbegriff des Anspruchs 1 ange- 
gebenen Art zu schaffen, die eine Vergleichseinrichtung 
25 enthalt, die sich durch Fehlersicherhei t sowie einfachen 
Aufbau auszeichnet, und bei der die Vergleichsergebnisse 
2U gewiinschten Zeitpunkten zu den Zentraleinheiten iiber- 
tragen werden. 

30 Erf indungsgemafl wird diese Aufgabe mit den im kennzeich- 
nenden Teil des Anspruchs 1 angegebenen MafBnahmen gelost. 

Die Vergleichseinrichtung enthalt demnach aul3er dem oder 
den eigentlichen Vergleichern, die mit Antivalenzgliedern 
35 gebildet sein konnen, einen Speicher, in den Fehlersignale 
eingetragen werden, wenn Unterschiede zwischen den einan- 
der entsprechenden Signalen in den Teilsystemen festge- 
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stall t werdea. Diese Fehlersignale bleiben zunachst ge- 
speichert, bis sie von den Zentraleinheiten abgerufen war- 
den. Auf diese Weise warden zwar bei Jedem Prograinmbear- 
bei tungsschritt der Zentraleinheiten deren Ein- und Aus- 
gabesignale auf Antivalenz uberpriift, es wird aber nur 
zu bestimmten, im allgemeinen durch die Bearbei tungspro- 
gramme vorgegebenen Zeitpunkten das Vergleichsergebnis 
abgerufen, so daI3 die Zentraleinheiten und die Ubertra- 
gungsleitungen nicht mehr als notwendig belastet sind. Je 
nach geforderter Sicherheit des Steuersys terns und notwen- 
diger Reaktionsgeschwindigkei t auf Antivalenzen der ein- 
und ausgegebenen Signale konnen die Vergle ichserge bnisse 
nach jedem Bearbei tungsschritt Oder nach einer Folge von 
Bearbeitungsschri t ten abgerufen werden, Es ist auch mog- 
lich, daf3, wenn fur bestimmte Bearbeitungsschri tte keine 
Redundanz erforderlich ist, die Teilsysteme unabhangig 
voneinandar varschiedene Programme bearbei ten und peri- 
phere Einhaitan ansteuern. Die dabei auftretenden Anti- 
valenzen werden zwar von der Vergleichseinr ich tung fest- 
gestellt und im Fehlersignalspeicher gespeichert, dessen 
Inhalt wird aber nicht abgerufen. Erst wenn eine redun- 
dante Signaluber tragung erfolgt, wird der Speicher zuriick- 
gese tzt, und wahrend Oder auch erst nach der redundanten 
Ubertragung wird er abgefragt, ob eine Antivalenz aufge- 
treten ist. Die Zentraleinheiten des Steuersys terns werden 
daher zur Auswertung der Vergleichserge bnisse mitbenutzt,t 
wobei die Reaktion auf Fehlermeldungen programmierbar 
ist, Spezielle Abschal teinrichtungan sind nicht notwen- 
dig, da die Zentraleinheiten Sicherheitsreaktionen redun- 
dant und damit fehlersicher ausfuhren konnen, 

Vorte ilhaf t ist das neue Steuer system in der We ise ausge- 
bildet, dafl je Teilsystem eine Daten-, Adressen- und Steuer- 
signale Ubertragende Peripherie-Buslei tung vorgesehen ist, 
an welche die Zen traleinhei t und die peripheren Einheiten 
angeschlossen sind, und dal3 die Vergleichse inrichtung 
zwischen die Peripherie-Busieitungen geschaltet ist und 
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die auf diesen ubertragenen Signale miteinander vergleicht. 
In derartigen Anordnungen sind den peripheren Einheiten 
Adressen zugeordnet. Zum Aufrufen einer peripheren i:in- 
heit und zur Durchfuhrung eines Befehls werden auf die 
5 Busleitungen eine Adresse und ein Datum geschaltet, welche 
die periphere Einheit und den durchzuf uhrenden Befehl an- 
geben. In einem solchen System kann die Vergleichseinrich- 
tung wie jede andere periphere Einheit behandelt werden. 
Es ist ihr also mindestens eine Adresse zugeordnet. Wird 
10 diese auf die Busleitungen geschaltet, wird der Inhalt 

des Fehlersignaisyeichers uber die Busleitungen redundant 
zur Auswertung den Zen traleinheiten zugefuhrt. 

In der Vergleichseinrichtung konnen, von den Zentralein- 

15 heiten gesteuert, weitere Funktionen ausgefuhrt werden, 
Vorteilhaft wird von Zeit zu Zeit eine Testfunktion aus- 
geiibt, Auch hierzu geben die Zentrale inhei ten mit einer 
Adresse Befehle aus, die von der Vergleichseinrichtung 
decodiert und als Befehle zur Durchfuhrung von Tests er- 

20 kannt werden. Aus den decodierten Befehlen werden Test- 
signale gebildet, mit denen ein oder mehrere steuei'bare 
Inverter, die Jewells dem einen Eingang eines Antivalenz- ' 
gliedes vorgeschal te t sind, in den invertierenden Be- 
triebszus tand geschaltet werden. Darauf werden wie iiblich 

25 iiber die Busleitungen gleiche Da ten libertragen, auf die 
nun, da die Da ten der einen Busleitung dem Antivalenz- 
glied invertiert zugefuhrt werden, die Vergleichseinrich- 
tung anspricht' und ein Fehlersignal erzeugt, sofern sie 
ordnungsgemaB arbeitet. Die Zen traleinheiten rufen den 

30 Inhalt des Fehlersignalspeichers ab und prlifen, ob ein 

Fehlersignal gespeichert war. Da die Adresse und das Datum, 
aus welchen die Testsignale abgeleitet sind, auf den Bus- 
leitungen im allgemeinen nicht so lange zur Verfligung 
stehen, bis der Test abgeschlossen ist, ist zweckmaBig 

35 ein Tes tsignalspeicher vorgesehen, in dem die aus der 

Adresse und dem Datum abgeleiteten Testsignale gespeichert 
werden. Das Ruckse tzen des Testsignalspeichers erfolgt 
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zweckmaI3ig mittels eines von den Zentraleinheiten abgege- 
benen Befehls. Von der Ruckflanke des Testsignals kann , 
z. B. durch Dif ferenzieren , ein RUcksetzimpuls fUr den 
Fehlersignalspeicher gebildet werden. 

5 

Mit der neuen Anordnung kSnnen nicht nur die Ein- und 
Ausgangssignale der Zentraleinheiten und der Speicher iiber- 
wacht werden, sondern indirekt auch die peripheren Einhei- 
ten, indem die Ausgangssignale von peripheren Ausgabeein- 

10 heiten jedes Teilsystems auf Eingange von peripheren Ein- 
gabeeinheiten des jeweils anderen Teilsystems riickgefuhrt 
sind. Diese Signale werden von den peripheren Eingabeein- 
heiten Uber die Busleitungen zur Zentraleinheit ubertra- 
gen, wobei sie von der Vergleichseinrichtung auf Gleich- 

15 heit uberwacht werden. Mit einer solchen Anordnung werden 
Einfachfehler in den peripheren Einheiten erkannt. 

Anhand der Zeichnung werden im folgenden die Erfindung so- 
wie weitere Ausgestaltungen und Erganzungen naher beschrie- 
20 ben und erlautert. 



Es zeigen 

Figur 1 das Prinzipschal tbild eines Ausf Uhrungsbeispiels , 
Figur 2 das Schal tbild einer in dem System nach Figur 1 
25 eingesetzten Vergleichseinrichtung und 

Figur 3 Diagramme von in der Vergleichseinrichtung nach 
Figur 2 auftretenden Impulsen. 



30 



35 



In Figur 1 ist ein Steuersystem gezeigt, das aus zwei Teil- 
systemen Kl, K2 besteht. Jedes von ihnen enthalt eine Zen- 
traleinheit ZEl, ZE2, welche Anweisungen bearbeitet, die 
in einem ihr zugeordneten , nicht dargestellten Programm- 
speicher enthalten sind, wobei Daten , die in einem Arbeits- 
speicher ASl, AS2 abgelegt sind, ausgewertet werden. Die 
Zentraleinheiten ZEl, ZE2 sind mit den Arbeitsspeichern 
ASl, AS2 Uber Peripherie-Busleitungen PBl, PB2 verbunden. 
An diese Busleitungen sind weitere periphere Einheiten, im 
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Ausfuhrungsbeispiel nach Figur 1 je ein Zeitzahler ZZl, 
ZZ2, eine Ausgabeeinheit AEl, AE2 und eine Eingabeeinheit 
EEl, EE2 angeschlossen. Die Ausgabee inhe iten dienen dazu , 
binare Signale nach auf3en abzugeben, Beispielsweise ist 
5 an Ausgange A2, A' 2 iiber Ansteuerglieder STl, ST2 ein 
Relais RL angeschlossen . Ober die Eingabeeinhei ten EEl , 
EE2 warden von auIBen kommende binare Signale auf die Bus- 
leitungen PBl, PB2 geschaltet und den Zentraleinheiten 
ZEl, ZE2 Oder auch unmittelbar den Arbeitsspeichern ASl, 
10 AS2 zugefuhrt. Jedem Zeitzahler ZZl, jeder Zelle des Ar- 
beitsspeichers ASl, jedem Ausgang Al, A2 . . . der Ausgabe- 
einheit AEl und jedern Eingang El, E2 , . . der Eingabe EEl 
ist eine Adresse zugeordnet. Soil z. B. das Relais RL an- 
gesteuert werden, dann geben die Zentraleinheiten ZEl, ZE2 
15 die Adressen der Ausgange A2, A' 2 der Ausgabeeinheiten AEl, 
AE2 auf die Busleitungen PBl, PB2. Die Adresse kann durch 
Befehle, wie Lesen, Schreiben, Offnen, Schliei3en, erganzt 
sein. Entsprechend werden Signale von auI3en nur dann von 
der Eingabeeinheit EEl durchgeschal te t , wenn die Einheit 
20 adressiert ist. 

Die beiden Zentraleinheiten ZEl, ZE2 sind identisch aufge- 
baut und arbeiten synchron, wobei im allgemeinen nach iiber- 
einstimmenden Programmen gleiche Daten verarbeitet werden, 

25 DemgemaB haben die Zellen des Arbeitsspeichers AS2 die- 
selben Adressen wie die des Arbeitsspeichers ASl. Ebenso 
konnen die Ausgange A'l, A'2 ... der Ausgabeeinheit AE2 
dieselben Adressen wie die Ausgange Al, A2 ... der Aus- 
gabeeinheit AEl haben. Entsprechendes gilt fur die Einga- 

30 beeinheiten und die Zeitzahler. 

Damit die Eingangssignale redundant verarbeitet werden, 
sind den Eingangen E3, E'3 und E4, E'4 gleiche Signale zu- 
gefuhrt. Gegebenenf alls mtissen fiir die Abfrage und Ober- 
35 tragung der Eingangssignale liber die Busleitungen Synchro- 
nisiermaCnahmen vorgesehen werden. Unter dieser Voraus- 
setzung werden bei storungsf reiem Betrieb an den Ausgan- 
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gen A2, A' 2 der Ausgabeeinhe i ten AEl, AE2 ubere ins t immende 
Signale abgegeben, so daB bei geeignetei' Ausbildung der 
Ansteuereinheiten STl , ST2 das Relais RL nur dann anzieht, 
wenn z. B, an beiden Ausgangen A2 , A'2 log. ''l^'-Signal auf- 
5 tritt. Das Relais fallt ab, wenn an einem dieser beiden 
Ausgange ''0"-Signal auf tritt. Eine seiche Be tr iebsweise 
wird man nur dann wahlen, wenn die gesteuerte Anlage bei 
angezogenem Relais in einen gefahrlichen Zustand gelangen 
kann, ein abgefallenes Relais dagegen die Anlage in einen 

10 sicheren Zustand bringt. Demen tsprechend wird man entspre- 
chende Ausgange der beiden Teilsysteme so verknupfen, daB 
bei einer Antivalenz der Ausgangssignale , d. h. bei einer 
Storung eines Teilsystems, die Anlage in den sicheren Zu- 
stand gesteuert wird. Fallt ein Teilsystem aus, so kann 

15 Vorsorge dafur getroffen werden, daB die Anlage mit dem 
anderen Teilsystem weiterbe trieben oder zumindest in den 
sicheren Zustand gebracht werden kann. 

Weniger wichtige Da ten werden jeweils nur einem Eingang El, 
20 E2, E'l zugefUhrt und nur vom Teilsystem Kl bzw. K2 bear- 
beitet, Ebenso konnen uber die Ausgange Al, A'l Da ten 
nicht redundant ausgegeben werden. In diesen Fallen tre- 
ten auf den Peripherie-Buslei tungen PBl , PB2 auch bei 
ordnungsgemaBem Betrieb un terschiedliche Signale auf, 

25 

Eine andere Betriebsart besteht darin, daX3 Eingangssignale 
nicht-redundant nur einer Eingabeeinheit EEl, EE2 zuge- 
fUhrt werden, daB aber die auf die Abfrage dieser Eingabe- 
einheit auf die zugehorige Peripherie-Busleitung geschal- 

30 teten Signale mittels eines Koppel verstarkers KVl, KV2 

auf die jeweils andere Busleitung gegeben werden, so daB 
auf beiden Busleitungen gleiche Signale liegen. Die Kop- 
pelverstarker sind ein- und ausschaltbar und erhalten von 
der zugehorigen Eingabeeinheit, die einen Adressendecodie- 

35 rer enthalt, dann ein Freigabesignal , wenn das von einem 
Eingang abgefragte Signal beiden Zen traleinheiten ZEl, ZE2 
zugefuhrt werden soil. Entsprechend kann verfahren werden. 
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wenn ein Eingangssignal redundant zwei einander entspre- 
chenden Eingabeeinhei ten , z. B, den Eingangen E3 , E'3 der 
Eingabeeinheiten EEl , EE2 zugefiifart wird , indem in zwei 
Schritten, die nicht unbedingt aufeinanderf olgen miissen, 
5 zunachst der Eingang E3 der Eingabeeinheit EEl und dann 

der Eingang E'3 der Eingabeeinheit EE2 abgefragt wird, Bei 
ungestortem Betrieb werden dann auf jeder Per ipherie -Bus- 
lei tung zwei ubereinstimmende Signalkoinbinationen Ubertra- 
gen. Ini Falle einer Storung eines Koppelvers tarkers Oder 
10 einer Peripherie-Buslei tung sind jedoch die uber die Bus- 
lei tungen gleichzeifcig ubertragenen Signalkombina tionen un- 
terschiedlich, im Falle einer Storung einer Eingabeeinheit 
die auf den Busleitungen nacheinander ubertragenen Signal- 
kombinationen . Im letzteren Falle werden die Zentralein- 
15 heiten ZEl, ZE2 un terschiedlich reagieren, so da/3 deren 
Ausgangssignale voneinander abweichen. 

iihnlich wie die Eingangssignale konnen auch uber die Aus- 
gange Al, A2 A'l, A'2 Ausgangssignale seriell abgege- 

20 benen werden, indem einander entsprechenden Ausgangen, z. B. 
den Ausgangen A2, A'2, unterschiedliche Adressen zugeord- 
net sind. In einem ersten Schritt geben die Zentralein- 
heiten ZEl, ZE2 einen Befehl zur Steuerung des Relais RL 
mit der Adresse des Ausganges A2 ab und in einem zweiten 
Schritt, der nicht unmittelbar auf den ersten Schritt f ol- 
gen muO, denselben Befehl mit der Adresse des Ausganges A'2. 
Nach dem ersten Schritt erscheint am Ausgang A2 ein Steuer- 
signal und nach dem zweiten Schritt am Ausgang A'2. Da die 
Ausgangssignale nach einer UND-Funktion verknupft sind, 
wird das Relais RL erst nach dem zweiten Schritt ange- 
steuert. Bei jedem Schritt werden uber die Peripher ie-Bus- 
leitungen gleiche Signalkombinationen ubertragen. 

Bei dem Normalfall des redundanten Betriebs stehen auf 
35 sich entsprechenden Signalleitungen der Busleitungen PBl, 
PB2 immer gleiche Signale an, Zur Oberwachung dieser 
Aquivalenz ist eine Vergleichseinrichtung VGL vorgesehen, 

130064/0069 
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Die Vergleichser gebnisse warden in einem Fehlersignal- 
speicher, der in der Vergleichse inrichtung enthalten ist, 
gespeichert. Dieser wird von den Zentraleinheiten ZEl, 
ZE2 in gleicher Weise wie die anderen peripheren Einhei- 
5 ten ASl, AS2; AEl, AE2 ; ... abgefragt und der Inhalt 

ausgewertet. Damit ist die Reaktion der Zentraleinheiten 
auf von der Vergleichseinrichtung gemeldete Fehlersignale 
programmierbar , d. h, es kann je nach den Erf ordernissen 
in ktirzeren oder langeren Abstanden in bestimmten Programm- 
10 phasen die Vergleichseinrichtung abgefragt werden. Bei 
nicht-redundantem Betrieb erfolgt keine Abfragung. 

Die Vergleichseinrichtung nach Figur 2 enthalt als Ver- 
gleichsschaltungen Antivalenzglieder AKl AKn , Die 

15 Adern der Peripherie-Busleitungen PBl, uber welche Da ten 
iibertragen werden, sind iiber Leitungen DAI DAn und 

steuerbare Inverter IVl . . . IVn mit den einen Eingangen 
der Antivalenzglieder AKl AKn verbunden. Deren andere 

Eingange sind uber Leitungen DA'l DA'n jeweils an die 

20 entsprechenden Adern der Busleitung PB2 des zweiten Teil- 
systems K2 angeschlossen . Den Invertern IVl ... IVn werden 
von einem weiter unten erlauterten Testsignalspe icher , be- 
stehend aus Kippstufen TSl ... TSn , log. "0''-Signale zuge- 
fiihrt, so daB sie die Signale von den Leitungen DAI ... DAn 

25 unverandert zu den Antivalenzgliedern AKl . , . AKn durchschal- 
ten. An diese ist ein Fehlersignalspeicher mit den Kipp- 
stufen FSl ... FSn angeschlossen , und zwar werden im Aus- 
f uhrungsbeispiel die Ausgangssignale der Antivalenzglieder 
den Vorbereitungseingangen J zugefuhrt. Die Taktimpulse fur 

30 die Kippstufen FSl . . . FSn sind von den Steuersignalen 

*'Schreiben" und '^Lesen'* abgeleitet, die uber die Busleitung 
PBl zu den peripheren Einheiten ubertragen werden, Hierzu 
sind diese liber Leitungen DS, DL einem UND-Glied OR mit ODER- 
Funktion zugefuhrt, an dessen Ausgange die Takteingange der 

35 Kippstufen FSl FSn angeschlossen sind. Mit der positi- 

ven Flanke der Lese- und Schreibimpulse werden daher die 
Ausgangssignale der Antivalenzglieder AKl . . . AKn in die 
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Kiljpslufen FSl FSn ubernominen, wobei die Ausgangssi- 

gnale log. *'0*' sind, wenii die Signale auf den Busleitun- 
gen Plil , PB2 iibere ins tirnmeii . Im Falle einer Antivalenz 
ist das Ausgangssignal des die Antivalenz fests tellenden 
5 An tivalcnzg] iedes log. 

In Figui- 3 ist die Ansteuerung des Fehlersignalspeichers 
veranschauliclit . In einem Diagramm da sind zwei Da ten DTAl, 
DTA2 eingetragen, welche tiber die Busleitungen PBl , PB2 

10 ubertragon werden. Das Datum DTA2 soli in eine periphere 
Einheit ubernommGn und das Datum DTA'l von einer peri- 
pheren Einheit uber die Busleitungen in die Zentraleinhei- 
ten ZEl, ZE2 eingelesen werden. Die tJbernahme des Da turns 
DTA2 ist durch die Ruclcflanke eines Schreibimpulses be- 

15 stimmt, der in einem Diagramm ds dargestellt ist, Der 

Zeitpunkt der Ubernahme des Datums DTAl in die Zentralein- 
heiten ZEl, ZE2 ist durch die Ruckflanke eines in einem 
Diagramm dl dargestell ten Leseimpulses bestimmt. Da die 
Schreib- und Leseimpulse nach einer ODER-Funktion ver- 

20 kniipft werden, gelangt an die Takteingange des Fehlersi- 
gnalspeichers FSl . . . FSn eine Impulsfolge or, die je 
ubertragenem Datum DTAl, DTA2 eine positive Flanke auf- 
weist, d, h. es wird bei Jeder Gultigerklarung der uber- 
tragenen Daten ein Vergleich durchgefuhrt und das Ver- 

25 gle ichsergebnis in den Fehlersignalspeicher eingetragen. 
Stimmen z. B, die Signale, die dem Antivalenzglied AKl 
zugeflihrt sind, uberein, so bleibt die Kippstufe FSl im 
in Figur 2 eingezeichne ten Zustand, und die Anzeigelampe ALl 
bleibt dunkel. Besteht dagegen eine Antivalenz der beiden 

30 Signale, so wird die Kippstufe FSl gesetzl^ und die Anzei- 
gelampe ALl leuchtet auf. 

Zur Verbesserung der Storsicherheit werden haufig Signale 
bei zweikanaliger Obertragung nicht, wie in der bisherigen 
35 Beschreibung vorausgesetzt , aquivalent, sondern antivalent 
ubertragen, Ein in die beiden Leitungen eingestreuter Stor- 
impuls erscheint dann ira Gegensatz zu den Nutzimpulsen als 
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aquivalentes Signal unci kann erkannt werden . Fur clLese 
Ubertragungsart kann die Vergleichseinrichtung nach Fi- 
gur, 2 ohne Anderung eingesetzt werden, indem die Inver- 
ter IVl . . , IVn von den Kippstufen TSl • . . TSn des Test- 
5 signalspeichers nicht "O*'-, sondern "1"-Signal erhalten, 
also an den anderen Ausgang der Kippstufen ange schlossen 
sind, 

Zum Abrufen des Inhalts des Fehlersignalspeichers FSl 

10 . . . FSn geben die Zen traleinheiten liber die peripheren 

Busleitungen PBl, PB2 Adressen und Leseimpulse aus, welche 
von mit den Adressenleitungen der Busleitungen PBl, PB2 
verbundenen AdreOdecodierern LDC, LDC' decodiert und als 
Freigabesignale Ausgabe verstarkern AVI AVn bzw. AV'l 

15 AV'n zugefiihrt werden, so daI3 diese die von den Kipp- 

stufen FSl . . . FSn erhaltenen Signale auf die beiden Bus- 
leitungen PBl, PB2 schalten. Vorteilhaft sind die Aus- 
gabe verstarker invertierend . Im Ausf uhrungsbeispiel ist 
angenommen, daB nur die Da ten iiberpriift werden, was in 

20 vielen Fallen geniigt. Sollen auch die Adressen und Steuer- 
signale iiberpriift werden, dann miissen die Inverter, der 
Testsignal- und der Fehlersignalspeicher entsprechend er- 
weitert und die Fehlersignale zeitmul tiplex zu den Zen- 
traleinheiten iibertragen werden, Ebenso wie die Adresse 

25 fur die Decodierer LDC, LDC' wird auch das Abf rageergeb- 
nis des Fehlersignalspeichers zweifach redundant iibertra- 
gen, damit ein Fehler in den fiir die Ubertragung verant- 
wortlichen Komponenten erkannt werden kann, 

30 Die Uberwachung der Schreib- und Leseimpulse kann dadurch 
verbessert werden, daB diese Impulse nicht iiber zwei der 
Leitungen DAI ... DAn bzw. DA' ... DA'n gefuhrt werden, 
sondern daB die Schreib- und Leseimpulse von der periphe- 
ren Busleitung PBl, PB2 jeweils auf ein dem ODER-Glied OR 

35 entsprechendes ODER-Glied gefuhrt sind und daB an jedes 

ODER-Glied der Takteingang einer bistabilen Kippstufe ange- 
schlossen ist. Die beiden Kippstufen werden dann bei un- 
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ges tor tern Betrieb synchron geschaltet. Je nach Ausgangs- 
zustand, cler bei Einschalten der Vergleichseinrichtung 
gewahlt warden kann , sind die Ausgangssignale der Kipp- 
stufen stets aquivalent oder antivalent. Durch Uberprii- 
5 fen der Schaltzustande dieser Kippstufen rnit einer zusatz- 
lichen Vergleicherstufe konnen daher die Schreib- und 
Leseimpulse Uberwacht warden. 

Es wird vorausgese tzt , daO der Testsignalspeicher TSl ... 

10 TSn den Invertern IVl IVn "0**-Signal zufuhrt, damit 

die auf den Leitungan DAI . . . DAn liegenden Signale un- 
verandert zu den An tivalenzgliedern AKl AKn gelangen. 

Der Testsignalspeicher ist von einetn Tes tsignaldecodierer 
TDC angesteuert, dem, wenn die Vergleichseinrichtung ge- 

15 testet werden soli, von der Zentraleinheit ZEl des ersten 
Teilsystems Adressen und Daten und auf3erdem liber die Lei- 
tung DS ein Schreibsignal zugefuhrt werden. Jewells eine 
Oder mehrere der Kippstufen TSl . . . TSn des Testsignal- 
speichers werden dadurch in einen Schaltzustand gebracht, 

20 bei dem den diesen nachgeschalte ten Invertern IVl • , . IVn 
log, '*1**-Signal zugefUhrt wird, so daB die Signale von 
den Leitungen DAI ... DAn invertiert werden und, wenn, wie 
es bei ungestortem Betrieb der Fall ist, auf den Buslei- 
tungen PBl, PB2 gleiche Signalkombinationen lie gen, die 

25 Antivalenzbedingung an den Eingangen derjenigen Antiva- 
lenzglieder AKl ... AKn erfullt ist, welche durch die dem 
Testsignaldecodierer TDC zugefuhrten Daten ausgewahlt sind. 
Es werden daher, wieder unter der Vorausse tzung des fehler- 
freien Betriebs, die zugehorigen Kippstufen FSl FSn 

30 des Fehlersignalspeichers gese tzt, von den invertierenden 
Ausgabe verstarkern AVI ... AVn bzw, AV' ... AV'n log. 
"0"-Signale auf die Busleitungen PBl, PB2 geschaltet und 
von den Zentraleinheiten der beiden Teilsysteme empfangen, 
Liegt irgend ein Fehler im Vergleicher vor, empfangt eine 

35 Oder beide Zentraleinheiten uber eine Ader, auf der bei 
Fehlerf reiheit ein log. *'0"-Signal auftreten sollte, log. 
"1"-Signal, und der Fehler ist erkannt. Der Test wird 
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tlurcli :':uriicksc tzen dcs Tes tsigna lsi:)e ichors beeiuiol. , wo5^,u 
ciie Zt.Mi 1 raloinliei t ZEl dcs ersten Teil systems wiccierum 
tlcn Ti -'-i 1 cle cod Lore r 'J"DC ini t den Adressen dcr zu riickzuse t- 
y.ondcn Kippstufeii des Tes tsignalspeichei's ansteuert. Die 
5 'J\*si.s i ; .iialo werdon von Dif fe renziergiiedern Rl, CI; 
1^11, Cn tli fferenziert und auf die Ruckse tzeingiinge der 
KippsMifca FSl ... FSn gegeben, derax-t, daI3 mit der Ruck- 
1 lank'^ dor Teslimpulse die Kippstufen in den Fehlerf re iheit 
;uizei,.L iidon Zustand geschaltet werden. Iin allgemeinen wird 

10 die Vcjrgloichseinrichtung in mehreren Schritten ge teste t, 
wobei die Koinbination der gesetzten Kippstufen TSl ... TSn 
dt}s Tustsignalspeichers von Schritt zu Schritt geiindert 
wird, bis alle fur die Felilererkennung notwendigen Kombi- 
nationen gepriift sind. Der Testsignal-Adressendecodierer 

15 ist nur mit der Busleitung PBl verbunden, da ein etwaiger 
Decodier fehler beim Auswerten der Teste rgebnisse erkennbar 
ist, Selbstverstandlich kann audi ein zweiter Testsignal- 
Adressendecodierer vorgesehen werden, der an die zweite 
Busleitung PB2 angeschlossen ist und dessen Ausgangssignal 

20 init dem des ersten verkniipft wird. 

Fiir das Auswerten der Vergleichsergebnisse und fur das 
vollstandige Testen der Vergleichseinrichtung sind nur 
wenige Schreib-, Lese- und Vergleichsoperationen notwen- 

25 dig. Die fur die Fehlererkennung notwendigen Programme 

laufen synchron in beiden Zentrale inhei ten ab, wobei die 
x'ichtige Bearbeitung wiederum von der Vergleichseinrich- 
tung uberwacht wird, Dadurch ergibt sich eine in sich 
geschlossene Prufkette , bei der die Fehlererkennungszeit 

30 und die Reaktion auf falsche Vergleichs- und Testergebnis- 
se programmierbar ist, Neben der Anzeige der Fehlerart und 
des Zeitpunkts des Fehlereintritt s , z. B, Programmspeicher- 
adresse, konnen Fehlerme Idungen zweikanalig und damit 
fehlersicher uber die beiden Teilsysteme und daran ange- 

35 schlossene periphere Einheiten ausgegeben werden. 
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Die Vergleichseinrichtung ist nicht-redundant aufgebaut, 
trotzdein arbeitet sie weitgehend fehlersicher , Um die 
Verf Ugbarkeit und die Fehlersicherheit der Vergleichsein- 
richtung zu erhohen, kann eine zweite Vergleichseinrich- 
5 tung VGL' (Figur 1) vorgesehen werden, die zweckmaBig 
derart geschaltet ist, daB die Inverter und der Testsi- 
gnal-Adressendecodierer an die Busleitung PB2 angeschlos- 
sen sind. 

10 In der Praxis wird man die Vergleichseinrichtung zur Ent- 
lastung der Zen traleinheiten so betreiben, daI3 zunachst 
innerhalb einer kurzen Testphase alle Schal tungskomponenten 
der Vergleichseinrichtung gepriift werden, AnschlieBend folgt 
eine relativ lange Vergleichsphase zur Uberwachung des 

15 redundanten Steuersystems . Da alle Fehler in der Vergleichs- 
einrichtung gespeichert werden, genugt es, wenn die Ver- 
gleichsergebnisse einraal am Ende der Vergleichsphase abge- 
fragt werden. Die Fehlererkennungszeit kann verkleinert 
werden, indem man innerhalb der Vergleichsphase die Abfra- 

20 gen mehrraals durchfiihrt Oder indem man die Vergleichsein- 
richtung so raodifiziert, daB eine gesetzte Kippstufe des 
Fehlersignalspeichers eine Programmunterbrechung auslost, 

7 Patentanspriiche 
3 Figuren 
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